Okta Access Gateway（OAG）に深刻な脆弱性が見つかりました。認証済みの管理者が、アプライアンスの管理コンソール（Admin Console）に細工した設定値を送信すると、システムコマンドを実行できてしまいます。
この問題は「CVE-2026-115547」として追跡されており、2026年10月22日付のセキュリティアドバイザリによると、バージョン2026.10.2より前のアプライアンスが影響を受けます。
CVSS v3.1の深刻度スコアは9.1と報告されています。Oktaは修正版としてバージョン2026.10.2を挙げており、影響を受けるアプライアンスをこのバージョン以降へアップグレードするよう推奨しています。
この欠陥はリモートから悪用できますが、認証不要の攻撃とは説明されていません。悪用を成功させるには、攻撃者がOAG管理コンソールへの管理者権限をすでに持っている必要があります。被害を受ける可能性を評価し、対応の優先度を決めるうえで、この点は重要です。
根本的な原因は、管理インターフェースが処理する設定入力の検証が不十分なことです。認証済みの管理者が特殊な形式の値を与えると、OAGサービスアカウントのセキュリティコンテキストでシステムコマンドが実行されます。
この実行コンテキストが、アドバイザリに記載された直接的な権限の範囲です。公開された情報では、悪用によってroot権限が得られるかどうかは確認されておらず、別途の権限昇格の仕組みも示されていません。
この脆弱性はコードインジェクションに分類され、CWE-94（コード生成の不適切な制御）とCWE-20（不適切な入力検証）にマッピングされています。
これらの分類は、実行可能な動作を生じさせうる処理に入力が渡る前に、十分な制約をかけられていないことを示しています。
提供された情報では、脆弱な設定フィールドや攻撃ペイロードの例、内部の処理手順は明らかにされていません。そのため、具体的なインジェクションの構文や影響を受けるバックエンドのコンポーネントは不明です。
報告されたベクターは「CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H」です。ネットワーク経由で攻撃でき、攻撃の複雑さは低く、必要な権限は高く、ユーザーの操作は不要であることを示しています。
スコープは変更あり（Changed）とされ、機密性、完全性、可用性への影響はいずれも高と評価されています。これらは、FIRSTのCVSS v3.1フレームワークで使われる評価項目です。
管理者権限が必要という前提条件により、攻撃者になりうる対象は限られますが、リスクがなくなるわけではありません。正規の管理者アカウントを手に入れた攻撃者は、本来設定管理のためのアクセス権を、サービスアカウント権限でのコマンド実行に転用できる可能性があります。
一方、Oktaの発表には、実際に悪用されている形跡や、公開されたエクスプロイトコード、既知の攻撃キャンペーンに関する記載はありません。深刻度の評価だけから、こうした状況を推測すべきではありません。
組織は、バージョン2026.10.2より前のOAGアプライアンスを洗い出し、修正版の適用を優先してください。アドバイザリが示す対策はアップグレードのみで、回避策は記載されていません。
補完的な防御策として、管理者は特権アカウントのアクセス状況の見直し、管理インターフェースへのアクセス制限、想定外の設定変更の調査を実施できます。
これらの対策は、管理者権限が必要という攻撃の前提条件に対処するものです。ただし、ベンダーの修正を影響を受けるアプライアンスへ速やかに適用することの代わりにはなりません。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。自社チームでの活用を検討する
翻訳元: https://cyberpress.org/critical-okta-access-gateway-vulnerability/
